Modificare il comportamento di fail-open

Questa pagina descrive come modificare il comportamento di fail-open di MACsec per Cloud Interconnect.

Puoi scegliere di attivare MACsec per Cloud Interconnect con comportamento fail-open. Fail-open significa che se i router di confine di Google non riescono a stabilire una sessione di accordo sulle chiavi MACsec (MKA) con il tuo router, la connessione Cloud Interconnect rimane operativa con traffico non criptato. L'impostazione predefinita interrompe tutto il traffico se non è possibile stabilire una sessione MKA con il router.

Puoi modificare il comportamento di failover MACsec solo utilizzando Google Cloud CLI.

Avviso: per evitare di trasmettere involontariamente traffico non criptato, ti consigliamo di utilizzare l'impostazione predefinita per il traffico di produzione e di utilizzare il comportamento fail-open solo per test e risoluzione dei problemi.

Abilita il comportamento di apertura in caso di errore

Verifica che non ci sia traffico sulla tua connessione Cloud Interconnect prima di attivare MACsec per Cloud Interconnect con comportamento fail-open.

Importante: quando abiliti il comportamento fail-open sulla connessione Cloud Interconnect, devi disattivare temporaneamente MACsec sulla connessione Cloud Interconnect. Di conseguenza, la connessione subisce temporaneamente una perdita di pacchetti. Per evitare interruzioni alla rete, verifica che non ci sia traffico sui collegamenti VLAN Cloud Interconnect prima di disattivare MACsec per Cloud Interconnect. Per ulteriori informazioni, vedi Disattivare o attivare i collegamenti VLAN.

gcloud

Esegui questi comandi:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Disabilita il comportamento Fail Open

Se hai abilitato il comportamento fail-open per MACsec per Cloud Interconnect, puoi scegliere di disabilitarlo in un secondo momento. Dopo aver disattivato il comportamento di fail-open, se i router di Google non riescono a stabilire una sessione di accordo sulla chiave MACsec (MKA) con il tuo router, la connessione interrompe tutto il traffico.

Importante: quando disattivi il comportamento di fail-open sulla connessione Cloud Interconnect, devi disattivare temporaneamente MACsec sulla connessione Cloud Interconnect. Di conseguenza, la connessione subisce temporaneamente una perdita di pacchetti. Per evitare interruzioni alla rete, verifica che non ci sia traffico sui collegamenti VLAN Cloud Interconnect prima di disattivare MACsec per Cloud Interconnect. Per ulteriori informazioni, vedi Disattivare o attivare i collegamenti VLAN.

gcloud

Esegui questi comandi:

gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --no-enabled \
    --no-fail-open
gcloud compute interconnects macsec update INTERCONNECT_CONNECTION_NAME \
    --enabled

Passaggi successivi

• Risolvere i problemi di MACsec